Was genau macht VAPT? NIST SP 800-115 Grenze für Gap Reduction Assessment und Penetration Testing

Der VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test) ist fast der am häufigsten verwendete und leicht zu verwechselnde Satz von Abkürzungen. Die Kaufliste enthielt "VAPT-Dienste einmal" und hätte entweder durch eine Reihe von Scan-Berichten oder durch ein echtes Zurücksetzen von Intrusion-Routen geliefert werden können - der Unterschied zwischen den Preisen und dem Wert. Dieses Papier beschreibt Grenzen im Lichte eines der maßgeblichsten öffentlichen Ansätze: SP 800-115 des National Institute of Standards and Technology der Vereinigten Staaten von Amerika.

I. Grenze zwischen VA und PT: NIST Point Broken

NISTs ursprüngliche Aussage ist sehr direkt:Der Leckscanner prüft nur, ob eine Lücke besteht, während die Angriffsphase des Penetrationstests tatsächlich zur Bestätigung seiner Existenz verwendet wird.Ich weiß es nicht. Dies ist die wesentliche Arbeitsteilung zwischen den beiden:

• Gap Assessment (VA)Batch-Identifizierung von Hosts, Diensten, Anwendungen, Ausgabe von "Wie viele Löcher, wie ernst"-Listen werden mit einer Lücke verglichen (z. B. NVD). Der Automatisierungsgrad und die Abdeckung waren hoch, aber der Bericht wurde falsch gemeldet und beantwortete weitgehend nicht, "wie weit diese Löcher in Kombination gehen können".
• Infiltrationstest (PT)Simulation eines echten Angreifers, der einen echten Angriff auf ein ausgewähltes Ziel startet. NIST betont insbesondere, dass die meisten Penetrationstests es wert sind, herausgefunden zu werden.Gruppe von Lücken in einzelnen oder mehreren SystemenMehr Zugang als jede einzelne Lücke.

Ein Satz:VA ist ein medizinischer Check-up, PT ist eine reale Person Übung.Ich weiß es nicht. Beide Arten der Beschaffung werden oft in der Compliance-Szene verpackt, aber es muss zum Zeitpunkt des Eingangs und der Inspektion klar sein: Wurde die Validierung tatsächlich verwendet? Oder hat Nessus gerade die Exportformulare übergeben?

II. NIST IV METHODE

SP 800-115 Abschnitt 5.2.1 unterteilt Infiltrationstests in vier Stufen (Abbildung 5-1):

• PlanungsschemaIdentifikationsregeln, Einholung der Genehmigung des Managements und Abschreibung, Festlegung von Testzielen. NIST spezifiziert:Keine tatsächlichen Tests in diesem Stadium.Aber es ist die Grundlage des gesamten Tests.
• Entdeckung gefunden: Informationssammlung und Lückenanalyse. Port- und Service-Identifikation, DNS/WHOIS-Abfrage, Banner grab, NetBIOS-Enumerator (nur interne Tests); dann vergleichen Sie, was gereinigt wurde, um die Lücke. Es ist nur langsam für einen mann, einen neuen fehler aus dem scanner zu fangen.
• Angriffsangriff: Der Kern des Tests. Die potenziellen Lücken, die identifiziert wurden, werden von Fall zu Fall genutzt; der Erfolg wird mit einer klaren Reaktion auf Minderungsmaßnahmen verifiziert; wenn Strom genutzt wird, wird das tatsächliche Risikoniveau des Netzwerks weiterhin analysiert; und eine bestimmte Lücke bewegt sich nicht. Zwischen dem Angriff und der Entdeckung,Feedback RingSobald der neue Halt gesichert ist, wird er gesammelt, erneut getestet und mit mehreren Rollen getestet.
• BerichtsberichtNicht das Letzte, sondern das Letzte.Synchronisieren mit den anderen drei PhasenDas Grenzkontrollprotokoll.

NIST erinnert auch daran, dass dies nur eine "akzeptable Abteilung" ist, aber die Mainstream-Prozesse der Industrie (einschließlich der OWASP WSTG- und PTS-Standards) können mit diesem Skelett verglichen werden: Der OWASP Web Safety Test Guide ist ein Webanwendungstest des de facto öffentlichen Handbuchs, und PTES hat den sechsteiligen Community-Standard für Pre-Interaction / Intelligence Collection / Threat Modeling / Use / After-Use / Reporting geschrieben.

III. Overt or Covert: Präfixierung der Spielregeln

NIST unterteilt Sicherheitstests in zwei Kategorien nach dem Kenntnisstand:Überdruckprüfungmit dem Wissen und der Zustimmung des IT-Teams durchgeführt, mit dem Ziel, ein möglichst vollständiges Loch zu finden;Gedeckter (schwarzer Hut) KonfrontationstestDie Verteidigung wird nicht benachrichtigt, und die echte Konfrontationsorganisation wird auf den Schaden untersucht, den sie verursachen kann, und die Reaktion wird getestet. Die beiden Ziele sind völlig unterschiedlich und verwenden keinen Scan-Bericht, um beide Effekte zu beanspruchen. In jedem FallRegeln des Engagements zuerst.: Umfang, Zeitraum, verbotene Aktionen (z. B. DoS, Produktionsdaten löschen), Einstellungsbedingungen, Notfallkontakt, alles geschrieben - NIST Anhang B direkt in die ROE-Vorlage. Infiltrationstests beinhalten natürlich reale Systeme und reale Daten, wobei keine ROE "Infiltrationstests" einen nicht lizenzierten Mord darstellen.

IV. DREI ANGABEN ZU A UND B

A-A-A-R.1) Berichte sind erforderlich, um zwischen "Scan Discovery" und "validierter Nutzung" zu unterscheiden, die die einzige ist, die risikoreiche Schlussfolgerungen verdient; 2 konzentrieren sich auf Kombinationspfade und endgültige Landepunkte (Domänenkontrolle? Datenbank?) anstelle von CVSS Durchschnittliche Punktzahl; 3 Überprüfen Sie den Umfang des Tests mit ROE, um Cloud-Assets und API abzudecken.

Berufliche Stellung B(1) Die Planphase tut nichts ohne schriftliche Genehmigung, NIST schreibt diesen Satz in Abschnitt I der Methodik; (2) der Bericht wird synchronisiert, wobei die Cut-off-, Time-Line- und Recovery-Schritte vor Ort gehalten werden und die anschließende Aufzeichnung eine Massenkatastrophe ist; und (3) die drei von CVE-NIST genannten Hauptkategorien sind nur Fehlkonfigurationen (insbesondere unsichere Standardwerte), interne nukleare Defekte, Pufferzonenüberläufe und die meisten Verteidigungslinien in tatsächlichen Projekten sind die ersten.

Quelle: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Sections 2.4.2, 4.3, 5.2.1 und Annex B/F; Cross-Certificate: owasp.org WSTG project page, Pentest-standard.org. Die Definitionen und Behauptungen im Text werden im entsprechenden Abschnitt des Originaltextes identifiziert.